Databehandleraftale. mellem. [anfør kontraktpart] [anfør adresse] [anfør postnummer] [anfør cvr.nr.] (herefter benævnt Databehandleren )

Transkript

1 #BREVFLET# Click here to enter text. Dokument: Neutral titel Rammeaftalebilag G til udbud på levering af Stomiprodukter Databehandleraftale mellem [anfør kontraktpart] [anfør adresse] [anfør postnummer] [anfør cvr.nr.] (herefter benævnt Databehandleren ) og Aalborg Kommune Brønderslev Kommune Læsø Kommune Ældre- og Handicap Ny Rådhusplads 1 Doktorvejen 2 Storemosevej Brønderslev 9940 Læsø 9310 Vodskov Cvr Cvr Cvr (herefter benævnt de tilsluttede kommuner )

2 1. Baggrund, formål og definitioner 1.1 Det er, jf. Rammeaftale om køb af Stomiprodukter til borgere i Aalborg, Brønderslev og Læsø kommuner (herefter benævnt Hovedaftalen ) aftalt, at Databehandleren skal kunne håndtere personfølsomme oplysninger i henhold til en udstedt bevilling for de tilsluttede kommuner. 1.2 Leverandøren skal bl.a. anvende de afgivne personfølsomme oplysninger til afsendelse af produkter og til identifikation på faktura. 1.3 På baggrund heraf indgås denne databehandleraftale (herefter benævnt Aftalen ) mellem de tilsluttede kommuner som dataansvarlig og med Databehandleren som databehandler for de tilsluttede kommuner. Efter Persondatalovens 42, stk. 2, skal der indgås en skriftlig aftale, når en dataansvarlig overlader behandling af personoplysninger til en databehandler. 2. Instruks mv. 2.1 Databehandleren handler alene efter instruks fra de tilsluttede kommuner i forbindelse med udførelsen af de aftalte opgaver i henhold til Hovedaftalen. Det er således den enkelte kommune, der afgør til hvilke formål, der må foretages behandling af personoplysningerne. 2.2 Bilag A indeholder en nærmere instruks fra de tilsluttede kommuner, som Databehandleren ved indgåelse af Aftalen forpligter sig til at overholde. 2.3 Der må ikke anvendes persondataoplysninger til mere indgribende foranstaltninger end, hvad formålet berettiger. Dette medfører, at alle personoplysninger alene må behandles til formål, som er nødvendige for opfyldelsen af Aftalen. 2.4 Databehandleren må således ikke behandle personoplysningerne til egne formål og må ikke bruge de overladte oplysninger til andet end udførelsen af opgaven for de tilsluttede kommuner. 2.5 Oplysninger må ikke videregives til tredjepart, med mindre det sker som led i opfyldelsen af et lov- eller myndighedskrav.

3 3. Databeskyttelseslovgivning mv. 3.1 Databehandleren skal til enhver tid overholde gældende persondatalovgivning med tilhørende bekendtgørelser, herunder bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning, som ændret ved bekendtgørelse nr. 201 af 22. marts 2001 ( sikkerhedsbekendtgørelsen ) og de sikkerhedsregler, der følger af sikkerhedsbekendtgørelsen, herunder vejledning nr. 37 af 2. april 2001 ( Sikkerhedsvejledningen ). 3.2 Databehandleren skal fra 28. maj 2018 ligeledes overholde Databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger) med tilhørende retsakter samt heraf afledt national lovgivning med evt. tilhørende bekendtgørelser vejledninger mv. 3.3 Reglerne i Persondatalovens 41, stk. 3-5, samt reglerne i sikkerhedsbekendtgørelsen er således også gældende hos Databehandleren samt hos dennes eventuelle underdatabehandlere. 3.4 Databehandleren har pligt til at sikre, at der er truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysningerne hændeligt eller ulovligt tilintetgøres, fortabes eller forringes. Ligeledes mod at oplysningerne kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med den til enhver tid gældende persondatalovgivning samt den offentlige standard for informationssikkerhed ISO27001/2 eller tilsvarende standard for informationssikkerhed. 3.5 Databehandleren skal sikre, at kun de personer, som autoriseres hertil, har adgang til de personoplysninger, der behandles, og at personer kun autoriseres til anvendelser, de har behov for i forhold til deres jobfunktion. 3.6 Databehandleren garanterer, at nødvendig kopiering og backup af data sker under fuldt betryggende forhold. 3.7 Ovenstående sikkerhedsbestemmelser gælder ligeledes i det omfang Databehandleren gør brug af hjemmearbejdspladser. 3.8 Databehandleren skal dokumentere, at Databehandleren er godkendt af Datatilsynet til at behandle personoplysninger.

4 4. Behandling af oplysninger uden for Danmark 4.1 Databehandleren må ikke uden forudgående aftale med de tilsluttede kommuner behandle oplysningerne uden for Danmark. 4.2 Hvis Databehandleren eller en af deres underdatabehandlere foretager databehandling i et andet land, skal Databehandleren sikre, at Databehandleren og eventuelle underdatabehandlere ud over den danske lovgivning om beskyttelse af persondata også lever op til det pågældende lands databeskyttelseslovgivning. 4.3 Hvis Databehandleren foretager databehandling i tredjelande, skal Databehandleren sikre, at reglerne i Persondatalovens 27, er overholdt, jf. dog punkt Hvis Databehandleren foretager databehandling i usikre tredjelande, skal Databehandleren anvende Kommissionens standardkontrakt eller Binding Corporate Rules (BCR) eller sikre, at Persondatalovens 27, stk. 3, er overholdt, jf. dog punkt Andre forpligtelser 5.1 Databehandleren skal levere en oversigt over datacentre og backupcentre med præcis adresseangivelse af, hvor de tilsluttede kommuners data behandles. Databehandleren sender en ny oversigt til de tilsluttede kommuner ved ændringer. Databehandleren kan ikke uden forudgående aftale med den enkelte kommune placere eller overføre data til et andet land. 5.2 Den enkelte kommunes data skal kunne adskilles fra andre kunders data og fremsøges. 5.3 Databehandleren er forpligtet til straks at give de tilsluttede kommuner meddelelse om driftsforstyrrelser, mistanke om brud på databeskyttelsesreglerne eller andre uregelmæssigheder i forbindelse med behandlingen af personoplysningerne.

5 5.4 Oplysninger skal slettes ved påkrav herom fra den enkelte kommune. 5.5 Databehandleren skal ved eventuelle henvendelser fra borgere vedrørende behandling af personoplysninger om borgernes egne forhold, henvise borgerne til de relevante afdelinger i den enkelte kommune. 6. Dokumentation for IT-sikkerhed mv. 6.1 Inden Databehandleren kan behandle data for de tilsluttede kommuner, skal Databehandleren dokumentere, at de overholder den til enhver tid gældende persondatalovgivning, herunder sikkerhedsbekendtgørelsen, samt at Databehandleren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysningerne hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at oplysningerne kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med persondataloven. Databehandleren skal til opfyldelse af denne forpligtigelse fremlægge en IT- revisorerklæring i overensstemmelse med gældende branchestandarder på området, (f.eks. en generel type B-revisorerklæring efter Revisionsstandard RS 3411, udgivet af Foreningen af Statsautoriserede Revisorers Revisionstekniske Udvalg) samt evt. baggrundsmateriale til erklæringen. Omkostningerne forbundet med udarbejdelsen af revisorerklæringen eller lign. er den enkelte kommune uvedkommende. 7. Brugen af underdatabehandlere 7.1 Det kræver den enkelte kommunes samtykke før Databehandleren kan overlade personoplysninger, der behandles i henhold til denne Aftale og i overensstemmelse med Hovedaftalen, og som de tilsluttede kommune er dataansvarlig for til en eller flere underdatabehandlere. 7.2 Det er Databehandlerens ansvar, at underdatabehandlere efterlever nærværende databehandleraftale, idet aftalen også gælder for disse. Databehandleren skal have indgået databehandleraftaler med underdatabehandlere på tilsvarende vilkår, som de krav, der stilles i medfør af Persondatalovens 42, stk. 2, og øvrige krav i medfør af denne Aftale, herunder sikre at underdatabehandleres medarbejdere har underskrevet en tavshedserklæring.

6 7.3 Efter anmodning fra den enkelte kommune skal Databehandleren levere en kopi af underdatabehandleraftalen eller underdatabehandleraftalerne. 8. Tilbagelevering af data 8.1 Ved Hovedaftalens ophør eller udløb skal datamateriale leveres tilbage til den enkelte kommune eller videregives til en anden leverandør/databehandler efter den enkelte kommunes nærmere bestemmelse og uden omkostninger for den enkelte kommune. Der skal herefter foretages permanent og effektiv sletning af oplysningerne, backup, log og andre data, så det ikke er muligt at genskabe dem i Databehandlerens og eventuelle underdatabehandleres IT-systemer. 8.2 Hvis der efter aftalens ophør opstår tvivl, om Databehandleren og/eller eventuelle underdatabehandlere har slettet alle de personoplysninger, som Databehandleren og/eller underdatabehandlere har behandlet i medfør af Aftalen og Hovedaftalen for de tilsluttede kommuner, skal Databehandleren på den enkelte kommunes anmodning indhente en revisorerklæring om, at oplysningerne er permanent og effektivt slettet fra Databehandlerens og/eller underdatabehandleres IT-systemer. Omkostningerne herved er den enkelte kommune uvedkommende. 9. Tavshedspligt 9.1 Databehandleren forpligter sig over for uvedkommende til at hemmeligholde alle oplysninger modtaget fra og om de tilsluttede kommuner, som Databehandleren får kendskab til i forbindelse med udførelsen af arbejdet for de tilsluttede kommuner. 9.2 Aftalen indebærer, at tavshedspligtsreglerne for offentligt ansatte i forvaltningslovens 27 og straffelovens f er gældende for Databehandleren, jf. straffelovens 152 a. Overtrædelse af disse tavshedspligtsbestemmelser kan medføre straf. 9.3 Databehandleren er forpligtet til at pålægge personale, underleverandører, samt underdatabehandlere, der får adgang til oplysninger omfattet af Aftalen og Hovedaftalen samme tavshedspligt. Der skal således iagttages ubetinget tavshed med hensyn til oplysninger, som der opnås kendskab til i forbindelse med arbejdet for de tilsluttede kommuner.

7 9.4 Tavshedspligten ophører ikke hverken ved Hovedaftalens, nærværende Aftale eller samarbejdets ophør eller ved den enkelte medarbejders fratræden. 9.5 Databehandleren sikrer, at medarbejdere, der får adgang til oplysninger fra de tilsluttede kommuner har underskrevet en tavshedserklæring om, at de har tavshedspligt. 9.6 Databehandleren skal levere en kopi af disse erklæringer efter anmodning fra den enkelte kommune. 9.7 Punkterne 9.1 til 9.6 om tavshedspligt gælder tilsvarende for eventuelle underdatabehandlere. 10. Tilsyn og kontrol 10.1 De tilsluttede kommuner fører tilsyn og kontrol med, at Databehandleren overholder den til enhver tid gældende persondatalovgivning med tilhørende bekendtgørelser, vejledninger mv., samt overholder denne Aftale inkl. bilag, og at Databehandleren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger Den enkelte kommune kan lade andre (f.eks. en IT-revisor) udføre tilsyn og kontrol Tilsyn og kontrol kan ske ved besøg hos Databehandleren, ved at den enkelte kommune anmoder om at modtage en kopi af Databehandlerens seneste årsrapport, som er udført af en IT-revisor og i overensstemmelse med gældende branchestandarder på området, (f.eks. en generel type B-revisorerklæring efter Revisionsstandard RS 3411, udgivet af Foreningen af Statsautoriserede Revisorers Revisionstekniske Udvalg) eller på anden måde efter den enkelte kommunes bestemmelse Databehandlerens omkostninger efter punkt 10.3 er den enkelte kommune uvedkommende Databehandleren skal på den enkelte kommunes anmodning, give den enkelte kommune tilstrækkelige oplysninger til, at denne kan påse, at de krævede tekniske og organisatoriske sikkerhedsforanstaltninger er iværksat og overholdes.

8 10.6 De tilsluttede kommuner er til enhver tid berettiget til at gennemføre yderligere kontrolforanstaltninger, herunder at begrænse Databehandlerens adgangsmuligheder til den enkelte kommunes netværk og data Hvis der opstår tvivl om Databehandlerens overholdelse af sikkerhedskravene i forbindelse med behandling af personoplysninger, kan den enkelte kommune lade en uvildig tredjepart (f.eks. revisor) gennemføre et tilsyn hos Databehandleren. Dette vil i givet fald ske for Databehandlerens regning Databehandleren fremsender årligt dokumentation på, at sikkerhedsforanstaltningerne er iværksat, og at der føres tilsyn med, at de overholdes Den enkelte kommune fører direkte tilsyn og kontrol med eventuelle underdatabehandlere på samme vilkår, som fremgår af punkterne Misligholdelse 11.1 Enhver misligholdelse af Aftalen anses som misligholdelse af Hovedaftalen, og behandles efter dansk rets almindelige regler om misligholdelse samt Hovedaftalens eventuelle bestemmelser herom. 12. Ændringer 12.1 Aftalen kan til enhver tid ensidigt ændres uden varsel af de tilsluttede kommuner, hvis ændringen er nødvendig for at overholde de til enhver tid gældende regler og forskrifter for behandling af personoplysninger Aftalen kan desuden ensidigt ændres uden varsel af de tilsluttede kommuner for at sikre overholdelse af Databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger), som træder i kraft 25. maj 2018, således at aftalen overholder de krav, der følger af Databeskyttelsesforordningen med tilhørende retsakter samt heraf afledt national lovgivning med tilhørende bekendtgørelser vejledninger mv.

9 13. Ikrafttræden, varighed og ophør 13.1 Aftalen træder i kraft samtidig med og ved underskrivelse af Hovedaftalen I tilfælde af ophør af Hovedaftalen uanset årsag skal Aftalen også ophøre. Databehandleren og eventuelle underdatabehandlere er dog forpligtet af Aftalen, så længe Databehandleren og eventuelle underdatabehandlere behandler personoplysninger i medfør af Hovedaftalen på vegne af Aalborg Kommune, jf. pkt BILAG: A) Instruks vedrørende databehandling. Dato: For [anfør kontraktpart] Dato: For Aalborg Kommune [indsæt navn og titel] [indsæt navn og titel] [indsæt navn og titel] [indsæt navn og titel]

10 Bilag A: Databehandlerinstruks 1. Indledning Denne databehandlingsinstruks er udstedt af de tilsluttede kommuner, som dataansvarlig for de personoplysninger, der behandles for den enkelte kommune til: [anfør kontraktpart] [anfør adresse] [anfør postnummer] [anfør cvr.nr.] som databehandler (herefter benævnt Databehandleren ) for de tilsluttede kommuner. 2. Baggrund Denne instruks præciserer de tilsluttede kommuners instruks til [anfør kontraktpart] om behandling af data, der er givet i henhold til databehandleraftalen af [indsæt dato] (herefter benævnt Aftalen ), som er indgået i forbindelse med, at Databehandleren skal håndtere personfølsomme oplysninger i henhold til en udstedt bevilling for de tilsluttede kommuner i henhold til levering af Stomiprodukter af [indsæt dato] (herefter benævnt Hovedaftalen ). 3. Formål Databehandlerinstruksen har til formål at give Databehandleren en generel instruks vedrørende behandling af personoplysninger for de tilsluttede kommuner, som Databehandleren er forpligtet til straks at efterleve. Databehandleren er forpligtet til straks at videregive instrukser mv. til eventuelle underdatabehandlere og til at sikre, at sådanne instrukser efterleves af underdatabehandlerne. 4. Hvilke personoplysninger kan behandles Databehandleren behandler personoplysningerne efter de retningslinjer, der er opstillet i forbindelse med indgåelsen af Hovedaftalen og Aftalen. Databehandleren er bemyndiget til at behandle følgende typer personoplysninger på vegne af de tilsluttede kommuner: Cpr.nr. Navn Adresse Hjælpemiddel

11 De tilsluttede kommuner er berettiget til at slette og/eller tilføje yderligere oplysningstyper til ovenstående liste ved fremsendelse af en ny liste til Databehandleren. 5. Ændringer De tilsluttede kommuner kan til enhver tid foretage ændringer i og komme med supplerende instrukser til nærværende databehandlingsinstruks til Databehandleren og eventuelle underdatabehandler(e) uden omkostninger for den enkelte kommune. Databehandleren er forpligtet til straks at videregive sådanne ændringer og supplerende instrukser til underdatabehandlere samt til at sikre, at de efterleves af underdatabehandlerne.